Caso práctico de peritaje informático: análisis forense mediante bloqueo de escritura de un disco duro

Cuando un perito informático se enfrenta al análisis de un disco duro para la realización de un peritaje informático, se deben tomar importantes precauciones. La primera de ellas es clonar el disco duro para no utilizar directamente el original, obteniendo mediante la clonadora el código hash correspondiente para cada disco (original y copia), después de la aplicación del algoritmo de hash implementado por la clonadora. La segunda precaución es no analizar el disco duro clonado conectándolo directamente al ordenador personal, sino a través de una bloqueadora de escritura. Una bloqueadora de escritura es una herramienta fundamental para el perito informático, ya que permite analizar un disco duro en modo de bloqueo de escritura, es decir, sin tener que preocuparse de que algún sector del disco pueda ser escrito accidentalmente, por lo que se mantiene la cadena de custodia durante el análisis forense del disco duro. Así pues, una vez analizado el disco duro habiendo utilizado el bloqueador de escritura, el código devuelto por el algoritmo de hash debe ser el mismo que antes de la realización del análisis.

En primer lugar, es necesario obtener el código hash del disco duro que se va a utilizar para realizar la prueba. Para ello, es necesario conectar a una clonadora el mencionado disco duro (el del ejemplo, con capacidad de un terabyte e interfaz SATA), para posteriormente ejecutar el algoritmo que devuelve dicho código. Para la prueba, se utilizará la clonadora Tableau TD2u (perteneciente al laboratorio de informática forense de este perito informático), que devolverá el código del algoritmo de hash SHA-1 para el disco duro utilizado. Como se puede observar en la fotografía adjunta, el código hash devuelto es 57615B9731C839086796C28B4113786669C4292D, tras realizar una clonación forense desde un disco duro origen a un disco duro destino (el utilizado como ejemplo).

codigo-hash-clonacion

Una vez el disco duro ha sido conectado a la bloqueadora de escritura y éste ha sido activado, es necesario seleccionar, bien el modo de lectura y escritura, bien el modo de sólo lectura, poniendo sumo cuidado en seleccionar este último para no escribir accidentalmente en el disco duro. A continuación, se ilustra mediante una fotografía el procedimiento de conexión del disco duro a una bloqueadora de escritura WiebeTech ComboDock V5, también perteneciente al laboratorio de informática forense de este perito informático, así como su posterior conexión, a través del bloqueador de escritura, a un ordenador personal mediante interfaz USB, al objeto de proceder a su análisis.

conexion-disco-sata-con-bloqueadora

Una vez se ha seleccionado en la bloqueadora de escritura el modo de sólo lectura y se ha conectado la misma al ordenador, el sistema operativo detecta y monta automáticamente las distintas particiones que componen el disco duro, lo cual se puede observar en la siguiente captura de pantalla. El sistema operativo utilizado es Microsoft Windows, pero también se podría utilizar cualquier distribución de Linux, ya que existen drivers compatibles con Linux para las bloqueadoras de escritura más importantes del mercado.

En este momento, es necesario acceder a una de las particiones del disco. En la siguiente captura de pantalla se puede comprobar que en el directorio raíz de la partición etiquetada por Windows como “Nuevo vol (G:)”, existe un directorio y ningún fichero.

captura-pantalla-original

Para comprobar la efectividad del bloqueo de escritura, se copiará un fichero cualquiera en el directorio raíz de la partición seleccionada, tal y como se muestra en la siguiente captura de pantalla. Nótese que se podría copiar el fichero en cualquier subdirectorio de cualquiera de las particiones. En este punto del proceso, cuando realmente se esté en un análisis forense real, es cuando el perito informático debe usar las herramientas de software de análisis forense que estime más convenientes para cada caso, al objeto, bien de analizar la información que contiene el disco, bien de obtener ficheros borrados, bien de obtener información oculta, etc.

captura-pantalla-fichero-copiado

Posteriormente, se procede a desmontar la bloqueadora de escritura del sistema operativo, tal y como queda reflejado en la siguiente captura de pantalla. Para realizar esta operación, lo más seguro y conveniente es utilizar la herramienta de desmontado de volúmenes de Windows.

Una vez la bloqueadora de escritura ha sido desmontada, es necesario volver a montarla al objeto de comprobar que el fichero no se ha copiado en la raíz de la partición “Nuevo vol (G:)”. Como se puede observar en la siguiente captura de pantalla, efectivamente, el fichero no aparece copiado en la mencionada partición.

captura-pantalla-segunda-conexion

Finalmente, es necesario volver a obtener el código hash del disco duro para comprobar que la bloqueadora de escritura ha impedido la escritura en el mismo. Para ello, es necesario volver a conectar el disco duro a la clonadora y, tal y como se aprecia en la siguiente fotografía, el código hash SHA-1 obtenido es 57615B9731C839086796C28B4113786669C4292D, es decir, el mismo que se obtuvo al principio.

codigo-hash-despues-conexion

Cuando se realiza un peritaje informático en el que es necesario el análisis de un disco duro o de cualquier otro tipo de almacenamiento físico (memorias USB, tarjeas SD y sus variantes, etc.), es fundamental realizarlo sobre una copia clónica de la prueba y, además, usando una bloqueadora de escritura sobre dicha copia, al objeto de no alterar ni contaminar la prueba que está siendo analizada, así como de mantener la cadena de custodia sobre la misma en todo momento. Asimismo, todo el proceso explicado en el presente artículo, debe ser descrito e ilustrado por el perito informático en el informe pericial informático que se realice en cada caso, para dejar claro al lector del informe que los procedimientos han sido seguidos escrupulosamente, incluso cuando haya sido necesaria la presencia de un notario para la realización de parte del peritaje informático, como el clonado del disco duro.

Peritaje informático de ficheros de audio, vídeo o fotografías almacenados en dispositivos móviles con sistemas operativos iOS (Apple), Android o Windows Phone

En muchas ocasiones, un perito informático es requerido para realizar un informe pericial informático al objeto de verificar la autenticidad de un fichero de audio, de vídeo o de fotografía que se halla almacenado en un teléfono inteligente o una tableta. Ante esta tesitura, el perito informático debe tener en cuenta que el mejor análisis forense posible que puede realizarse a un fichero informático almacenado en un teléfono o tableta, es el que analiza los metadatos del mismo.

Los metadatos de un fichero son unas propiedades internas al propio fichero, que informan sobre el mismo y que corren el riesgo de desaparecer o de ser modificadas o alteradas por un sistema externo si se produce una copia no forense del fichero hacia el disco duro de un ordenador o hacia una memoria USB. De los metadatos de un fichero se puede extraer la fecha de creación del mismo, la fecha de su última modificación, la fecha de su última lectura, así como las coordenadas geográficas en las que fue tomada una fotografía, el tipo de dispositivo con el que fue grabado un fichero de audio o de vídeo, etc.

 

Al objeto de realizar una correcta obtención y posterior análisis de los metadatos de un fichero almacenado en un dispositivo móvil, el perito informático debe, en primer lugar, obtener una imagen forense del mismo. Esta imagen forense puede ser física o lógica. Una imagen o extracción física es una clonación exacta (bit a bit) del contenido de un teléfono móvil, incluso los mensajes, archivos y bases de datos que han sido previamente eliminados, lo que permite incluso realizar lo que en informática forense se denomina file carving. Una imagen o extracción lógica es el conjunto o listado completo de todos los archivos que, en el momento de la extracción, se hallan en el sistema de ficheros del dispositivo móvil, es decir, en el teléfono o tableta.

Para la realización de cualquiera de este tipo de extracciones, el perito informático debe utilizar una herramienta de extracción forense de información almacenada en dispositivos móviles y, posteriormente, una herramienta de análisis forense de dicha información. De las muchas herramientas de extracción de la información almacenada en dispositivos móviles existentes en el mercado, este perito informático dispone de la Cellebrite UFED Touch, la mejor y más utilizada, entre otros, por las Fuerzas y Cuerpos de Seguridad del Estado de todo el mundo, así como de la herramienta de análisis forense UFED Physical Analyzer, también de Cellebrite.

 

Como ejemplo para la realización del presente artículo, este perito informático ha utilizado el terminal LG X150 que, como se puede observar en la siguiente captura de pantalla, aparece conectado a la herramienta Cellebrite UFED Touch (propiedad de este perito informático), mientras dicha herramienta está realizando una extracción lógica del contenido del teléfono móvil, en el laboratorio de informática forense de este perito informático. La extracción lógica proporcionará, al objeto de realizar el ulterior peritaje informático, todos los archivos que, en el momento de la extracción, se encuentran en el terminal y que no han sido borrados por el propietario del teléfono.

Peritaje_informático_foto_Cellebrite

La extracción lógica del contenido del terminal, a la izquierda de la imagen, se almacena en el disco duro que se observa a la derecha de la imagen, al objeto de poder ser analizada posteriormente por el perito informático. Una vez ha concluido la extracción lógica del terminal, es necesario desconectar, de la herramienta Cellebrite UFED Touch, el disco duro donde se ha almacenado la imagen. Conectando el disco duro al ordenador, se pueden observar, tal y como se aprecia en las dos siguientes capturas de pantalla, los ficheros correspondientes a la extracción lógica o imagen del terminal, que deberá ser utilizada por el perito informático para la realización del análisis forense de los metadatos del o de los ficheros, al objeto de elaborar posteriormente el informe pericial informático.

Peritaje_informático_UFED_1

Peritaje_informático_UFED_2

A continuación, es necesario cargar la imagen del terminal en el programa UFED Physical Analyzer, de Cellebrite, donde se podrán estudiar los metadatos del o de los ficheros que el perito informático desee analizar. La siguiente captura de pantalla muestra la imagen del terminal cargada en el programa UFED Physical Analyzer.

Peritaje_informático_UFED_3

Una vez el perito informático ha cargado la imagen forense del terminal en el programa UFED Physical Analyzer, debe dirigirse al menú Imágenes, al objeto de comprobar todos los ficheros multimedia de imágenes incluidos en la extracción forense. En dicho menú, el perito informático podrá comprobar que puede obtener todas las fotografías almacenadas en el terminal y que no han sido previamente eliminadas, al objeto de poder analizar sus metadatos para elaborar el peritaje informático requerido. A modo de ejemplo, se ha seleccionado una fotografía tomada de la estatua del Oso y el Madroño de Madrid desde el mencionado terminal, tal y como se muestra a continuación.

OsoYMadroño

El análisis de los metadatos EXIF de la fotografía, como se advierte en la siguiente captura de pantalla, revela que ésta fue tomada a las 14:28:25 horas del día 24 de abril de 2016 (propiedad DateTime), mediante el terminal móvil LG X150 (propiedad Modelo). Este análisis forense permite concluir que la fotografía no presenta indicios de manipulación, ya que el terminal con el que dicha fotografía fue tomada es el mismo que el analizado, las condiciones climatológicas son las correspondientes a las de las 14:28:25 horas del día 24 de abril de 2016 en Madrid y, además, no se puede observar en los metadatos de la fotografía el rastro de ningún programa de edición de imágenes y fotografías.

Peritaje_informático_UFED_4

Asimismo, el programa UFED Physical Analyzer también proporciona al perito informático el código hash MD5 de la fotografía, que es 62614074826bd1de7f3fc52dfa17f42a. Dicho código hash puede observarse en la siguiente captura de pantalla procedente del UFED Physical Analyzer.

OsoYMadroñoHashPeritajeInformático
 

Así pues, el perito informático deberá incluir, en su informe pericial, una explicación del proceso de extracción lógica de los datos del terminal, los códigos hash correspondientes a los ficheros que conforman la mencionada imagen forense, el propio código hash de la mencionada la fotografía analizada, así como una explicación detallada del análisis de los metadatos del fichero multimedia en cuestión. Como colofón, el perito informático podrá concluir, tras la realización del análisis forense, que la fotografía no presenta indicios de manipulación y que, por tanto, se puede considerar como prueba a todos los efectos procesales.

Si en lugar de una fotografía, el perito informático tuviese que enfrentarse al análisis forense de un fichero de audio, vídeo o de cualquier otro tipo de formato (inclusive un PDF o un fichero de Microsoft Office), almacenado en un dispositivo móvil, el proceso para realizar el peritaje informático sería equivalente.

El perito informático como asesor tecnológico independiente

Una de las principales funciones del perito informático como profesional liberal, es la de ejercer una labor de asesoramiento tecnológico como profesional independiente y experto. El perito informático colegiado, al estar titulado en Ingeniería o Ingeniería Técnica en Informática y, por tanto, ser el mejor conocedor posible de cualquier asunto relacionado con la tecnología, es un experto en la legislación aplicable al desarrollo y la ejecución de proyectos informáticos, es capaz de redactar los requisitos del proyecto con el nivel de detalle acorde a las necesidades del cliente, es conocedor de la jurisprudencia existente a tener en cuenta en cualquier litigio que pudiera surgir a lo largo del desarrollo del proyecto informático, es un experto en qué cláusulas contractuales son más ventajosas a la hora de firmar un contrato de desarrollo de software, conoce perfectamente la legislación y la jurisprudencia aplicables en materia de propiedad intelectual del software y, además, es un experto en mediación tecnológica.

 

Contar con el asesoramiento de un perito informático a la hora de contratar la realización de un proyecto informático, es absolutamente vital si se desea que el desarrollo del proyecto o del producto contratado se ejecute de forma satisfactoria, con el objetivo focalizado, exclusivamente, en el beneficio para el cliente. Un perito informático podrá asesorar a la empresa cliente a la hora de negociar las cláusulas del contrato con la empresa de desarrollo, poniendo especial foco de atención en el documento de Especificación de Requisitos del Software, así como en las cláusulas relativas a la propiedad intelectual del software y a la propiedad del código fuente.

 

En incontables ocasiones, las empresas de desarrollo de software se aprovechan de la falta de conocimientos informáticos del cliente para redactar unas especificaciones ambiguas, carentes de detalle, de tal forma que, a la entrega del proyecto y después de que el cliente compruebe que el sistema informático no realiza las funciones tal y como él había previsto, la empresa de desarrollo siempre podrá acogerse a que dichas funcionalidades no aparecen especificadas en el documento funcional o Especificación de Requisitos del Software.

En este punto, el cliente siempre puede contratar los servicios de un perito informático colegiado para iniciar un proceso civil, pero dicho perito informático tendrá que enfrentarse a la realización de un peritaje informático en el que deberá demostrar que las funcionalidades de un sistema informático no casan con las que fueron especificadas, vagamente, en un documento de requisitos ambiguo. En este caso, como el documento es confuso, siempre podrá interpretarse de una forma u otra y, la empresa de desarrollo podrá, también, contratar los servicios de otro perito informático que rebata las conclusiones del primer perito informático contratado por el cliente. Finalmente, con dos peritajes informáticos contradictorios, el juez solicitará la insaculación de un tercer perito informático que determine quién tiene la razón, causando una cascada de gastos a la empresa cliente que incluso podría no recuperar, si el perito informático judicial dictamina que la documentación funcional, al ser tan indeterminada, es acorde a lo ejecutado en el proyecto informático por la empresa de desarrollo.

Debido a estas circunstancias, la mejor decisión para el cliente será siempre que el perito informático se encuentre presente en la negociación de los términos del contrato de desarrollo, así como de los requisitos funcionales que deberán plasmarse en el documento de Especificación de Requisitos del Software, al objeto de evitar cualquier ambigüedad en la redacción de los mismos. El trabajo del perito informático en este punto del desarrollo será crucial para delimitar y redactar, con el máximo nivel de detalle, todas las funcionalidades que el cliente desea en su sistema informático, así como los escenarios de éxito y error en cada uno de los casos de uso del sistema.

El perito informático constituirá también un valor para el cliente, ya que éste será asesorado en todo momento por el perito informático como profesional independiente y ajeno, tanto al propio cliente, como a la empresa de desarrollo, así como ahorrará al cliente una interminable lista de costes ya que, en la mayoría de las ocasiones, el contar con su presencia desde el inicio del desarrollo del proyecto, evitará que éste sea entregado con deficiencias y, por tanto, que se deba comenzar un procedimiento civil, con todos los gastos que dicho proceso genera, como el abogado, el procurador, el perito informático, las costas judiciales, el coste de oportunidad, al impedir el desarrollo del negocio y, el más importante, el tiempo perdido, tanto a nivel personal, como profesional, como de negocio. Contar, por tanto, con el asesoramiento de un perito informático desde el principio del desarrollo del proyecto, se puede considerar una inversión en lugar de un gasto.

 

El perito informático, como Ingeniero o Ingeniero Técnico en Informática, es un experto en todas y cada una de las fases del desarrollo de software, por lo que es el profesional indicado para asesorar tecnológicamente a cualquier cliente que contrate el desarrollo de un proyecto y desconozca la tecnología subyacente, las metodologías de desarrollo, así como la legislación aplicable a este tipo de proyectos en materia de propiedad intelectual. La contratación de los servicios de un perito informático colegiado es una inversión segura para el cliente.

El perito informático en la suplantación de identidad en Internet

En muchas ocasiones, un perito informático es requerido para la realización de un informe pericial en el que se deje constancia de que la identidad de una persona ha sido suplantada. En algunas ocasiones, también, el perito informático es requerido para demostrar justamente lo contrario, es decir, que una persona acusada de suplantación de identidad, no tiene por qué ser culpable de la comisión del delito. La labor del perito informático, en ambos casos, es ceñirse a las evidencias aportadas por el cliente, tanto en Internet como en autos, analizando la cadena de eventos de principio a fin y obteniendo conclusiones a partir de la misma.

 

La identidad de una persona puede suplantarse en Internet de muchas y variadas formas, como por ejemplo, abriendo páginas en redes sociales a nombre de esa persona sin su autorización, publicando anuncios en páginas de contactos con datos personales y teléfono reales de un tercero, creando una cuenta de correo electrónico con su nombre y apellidos exactos y enviando información maliciosa a otras personas, etc. Es imposible controlar ni evitar que se pueda suplantar la identidad de una persona en Internet, por lo que la concienciación social debe dirigirse hacia el punto de que todo lo que aparece en internet sobre una persona puede no ser real, es decir, que la persona que aparentemente se encuentra detrás de una página en una red social, o de un anuncio en una página web de contactos, o de un correo electrónico, realmente puede no ser ella, sino un delincuente que ha usurpado su identidad.

 

Cuando una persona se encuentra con que ha sido víctima de una suplantación de identidad en la red, debe acudir inmediatamente a un perito informático que certifique fehacientemente la situación y deje constancia de la misma en un informe pericial informático, de tal forma que, acto seguido, pueda presentar una denuncia ante las autoridades con las máximas garantías. Es muy importante acudir rápidamente a un perito informático, ya que la información en Internet es volátil, es decir, puede perderse de forma irremediable, por lo que sería imposible efectuar la denuncia. Un perito informático colegiado dispone de los conocimientos y herramientas apropiados para que la información que aparece en Internet pueda ser extraída, almacenada, conservada y presentada en una denuncia ante las autoridades con todas las garantías. Asimismo, el perito informático podrá, posteriormente, acudir al juicio a defender el informe pericial presentado, al objeto de exponer sus argumentos y conclusiones.

 

En la inmensa mayoría de los casos, tras presentar la correspondiente denuncia adjuntando un informe pericial informático, el juez solicitará, a través de la Policía Judicial, la dirección IP desde la que se ha cometido el delito de suplantación al proveedor del servicio informático a través del cual se ha cometido el delito (red social, página web de contactos, proveedor de correo electrónico, etc.). Una vez el juez posea la dirección IP desde la que se ha cometido el delito y, muy importante, el instante temporal en que éste se cometió, ordenará su cotejo con los proveedores de acceso a Internet, para determinar qué titular tenía asignada dicha dirección IP en ese momento.

 

Si el juez, una vez haya sido informado del nombre y apellidos del titular, estima que éste, o alguna persona que viva o trabaje con él, es sospechoso de la comisión del delito, deberá inmediatamente ordenar la confiscación de sus ordenadores y dispositivos informáticos mediante intervención judicial, al objeto de encontrar evidencias que determinen, en un ulterior examen forense de las mismas por parte de un perito informático policial, la autoría del delito. Según la STS 8316/2012, el que una persona sea titular de una línea a la que ha sido asignada una dirección IP, en un momento dado del tiempo, en el que se ha cometido un delito desde dicha dirección IP, no es cuestión necesaria y suficiente para culpabilizar al titular de la línea de la comisión del delito si no existen más pruebas. Esta circunstancia quedó perfectamente explicada en un artículo escrito por este perito informático.

La Informática en la reforma de la Ley de Enjuiciamiento Criminal

(Publicación original por Javier Rubio Alamillo, perito informático, en el Diario La Ley, el día 10 de diciembre de 2015. Publicado en esta página web con autorización expresa del propietario de los derechos de autor).
 

I. Introducción

En su artículo dieciocho, punto cuarto, la Constitución Española dispone textualmente que “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”. Dicho artículo está enmarcado dentro de la Sección Primera, correspondiente a los derechos fundamentales y de las libertades públicas, del Capítulo Segundo del Título I, correspondiente a los derechos y deberes fundamentales, del texto supremo de nuestro ordenamiento jurídico. Treinta y ocho años después de la aprobación de la Constitución, la sociedad española sigue indefensa ante los desafíos constantes que plantea la Informática, ya que los profesionales de la Ingeniería Informática que deben velar por el cumplimiento de este artículo inserto en nuestra Carta Magna, siguen ejerciendo profesionalmente en un limbo jurídico al no estar regulada su profesión, con el grave perjuicio que esto supone para todos los ciudadanos.

El hecho de que los padres de nuestra Constitución fuesen conscientes, hace ya casi cuarenta años, en los albores de la Informática, que el mal uso de ésta podría constituir un peligro para los derechos fundamentales, nos dice mucho de la importancia que tiene y que ya comenzaba a tener, en aquellos tiempos lejanos, la Informática en nuestra sociedad. Hace cuarenta años, Internet era sólo un proyecto de investigación entre unas cuántas universidades punteras norteamericanas, siendo hoy en día el principal canal de comunicación a nivel global. Hace cuarenta años, los teléfonos móviles no existían, mientras que hoy en día todo el mundo tiene un teléfono inteligente conectado a Internet, estando al tanto de todas las noticias que ocurren a nivel mundial de forma instantánea y en comunicación directa e inmediata con amigos y familiares que viven en países remotos.

 

El avance y la penetración de la Informática y, fundamentalmente, el desarrollo de Internet, no sólo han traído ventajas y adelantos enormes a la forma en que nos comunicamos y en que nos enteramos de las noticias que ocurren en el mundo, sino que, al igual que en el mundo real, en el virtual también hay delincuencia, tanto aislada como organizada. Todos los delitos que se pueden cometer en el mundo real, también pueden cometerse en el virtual: amenazas, coacciones, delitos contra la libertad sexual o contra el honor, violencia de género, tráfico de personas y de drogas, terrorismo, etc. Además, a todo el conjunto de delitos clásicos, hemos de añadirle los delitos propios del mundo virtual, como el sabotaje a sistemas informáticos, la entrada no autorizada en redes y sistemas, la difusión de material de terceros sin su consentimiento (tanto datos personales como íntimos), la distribución no autorizada de material protegido por derechos de autor o piratería informática, la distribución de ficheros de pornografía infantil, etc.

La legislación española en materia informática ha estado siempre muy retrasada con respecto a los avances informáticos propiamente dichos, a la vez que ha sido siempre bastante ambigua y poco clara. Esta ambigüedad se detecta, por ejemplo, en el hecho de que la legislación esté plagada de términos como “prueba electrónica”, “medio telemático” o “sistema informático”, utilizados todos ellos de forma indistinta.

Según el DRAE, la Electrónica es el “estudio y aplicación del comportamiento de los electrones en diversos medios, como el vacío, los gases y los semiconductores, sometidos a la acción de campos eléctricos y magnéticos”. La Informática, por el contrario, es el “conjunto de conocimientos científicos y técnicas que hacen posible el tratamiento automático de la información por medio de ordenadores”. Es un hecho, por tanto, que una de las bases de la Informática es la Electrónica, pero no la única, ya que para que se pueda tratar de forma automática la información por medio de ordenadores, además del movimiento de los electrones y, por tanto, de la Electrónica, es necesaria la intervención de otras disciplinas. Entre las más destacadas, las Matemáticas en sus diversas ramas (incidiendo particularmente en el Álgebra Booleana, que permite abstraer la informática como una estructura algebraica formada por ceros y unos), la Teoría de la Computabilidad (que permite, de forma simplificada, conocer qué problemas pueden resolverse y cuales no utilizando un ordenador), la Arquitectura de Computadores (que define la forma en que los distintos componentes de un ordenador interactúan entre sí), la Programación, que hace posible el desarrollo de programas, la Ingeniería del Software (que permite diseñar sistemas informáticos de acuerdo a estándares medibles de calidad) y otras múltiples y muy variadas disciplinas del conocimiento científico.

Por tanto, un aparato electrónico propiamente dicho es un televisor, una nevera o una lavadora y, es evidente que este tipo de electrodomésticos no pueden ser utilizados para cometer delitos informáticos, pues no se pueden ejecutar programas sobre ellos (aunque la tecnología domótica está avanzando mucho y ya existen electrodomésticos capaces de conectarse a Internet y realizar ciertas funciones básicas, como ordenar la compra, pero el usuario tiene una interacción extraordinariamente limitada o incluso nula con dichos programas). Sin embargo, en ningún momento se puede considerar a un ordenador como un aparato puramente electrónico, ya que los programas que se ejecutan sobre el mismo realizan funciones muy complejas que necesitan obligatoriamente de la interacción del usuario y, por tanto, el ordenador sí puede ser utilizado para cometer actividades delictivas. Un ordenador, por tanto, debería considerarse como una prueba informática y no electrónica.

Asimismo, cuando se utiliza el término “medio telemático”, también se induce a confusión al ciudadano, ya que la telemática no es más que la unión de las palabras “telecomunicaciones” e “informática”, pero la infraestructura de red en sí misma (cables, módems , enrutadores y, en definitiva, dispositivos físicos de red que sólo ejecutan firmware (1) y son incapaces de ejecutar software (2)), no puede utilizarse para la comisión de delitos si no es gracias al software, es decir, los programas informáticos, que ejecutan los ordenadores conectados a la red, por lo que también estaríamos hablando de medios informáticos. Siguiendo la misma lógica, un disco duro y una memoria de almacenamiento masivo también son dispositivos informáticos, ya que la información ha sido almacenada en los mismos a través de sistemas informáticos (ordenadores y redes de ídem) y no electrónicos (electrodomésticos y asimilados).

Hablar de “prueba electrónica” carece de sentido desde el momento en que no se puede obtener ninguna información útil para el proceso judicial con un acceso directo a los electrones que componen las evidencias informáticas (3), no siendo siquiera posible realizar dicho acceso. De hecho, el eminente procesalista Michele Taruffo, en su obra magna sobre Derecho Procesal “La prueba” (4), ya habla de la “prueba informática” sin ningún otro tipo de calificativo. Una analogía similar a lo que ocurre con la prueba informática, sería denominar a la prueba caligráfica como prueba “silábica”, “alfabética” o algún calificativo parecido, cuando parece claro que las sílabas o las letras por sí mismas no son capaces de aportar nada si se necesita determinar la autenticidad de un documento manuscrito, siendo necesario un estudio profundo en un orden de abstracción superior, que es la escritura. La Informática se sitúa, de esta manera, en un orden de abstracción superior a la Electrónica.

Es, por tanto, un hecho, que el legislador ha enmarañado la legislación en el sentido indicado, probablemente por desconocimiento o por el uso de los modismos tecnológicos de cada momento, aunque el ciudadano, cuando tiene un problema informático de índole legal, acude a peritos informáticos y no a peritos electrónicos ni telemáticos, que ni siquiera existen oficialmente. De hecho, una búsqueda simple por los términos “perito electrónico” y “perito telemático” en el conocido buscador Google, arrojan a fecha de la escritura del presente artículo, únicamente 1030 y 2330 resultados, respectivamente (se trata, en ambos casos, de resultados residuales relacionados, fundamentalmente, con cursos de formación de instituciones privadas). Por el contrario, la búsqueda del término “perito informático” arroja 561000 resultados.

Además, a este secular retraso y notoria ambigüedad legislativa, es necesario sumar la histórica escasez de medios, tanto técnicos, como humanos, de que disponen las Fuerzas y Cuerpos de Seguridad del Estado a la hora de afrontar los retos que suponen los delitos informáticos o los delitos cometidos a través de sistemas informáticos.

 

La reforma, en primer lugar, del Código Penal, agravando ciertos supuestos penales relacionados con la comisión de actividades delictivas realizadas a través de sistemas informáticos e incluyendo otros nuevos, seguida de la reforma de la Ley de Enjuiciamiento Criminal, que desarrolla la forma en que la Justicia y las Fuerzas y Cuerpos de Seguridad del Estado investigan y persiguen los delitos, gravitando dicha reforma, más que en los delitos informáticos propiamente dichos, en los delitos clásicos cometidos a través de sistemas informáticos, viene a confirmar las carencias que tenía la legislación española en esta materia. Sin embargo, la manera en que se ha llevado a cabo la mencionada reforma de la Ley de Enjuiciamiento Criminal, así como el resultado final, distan mucho de ser satisfactorios.

 

Observando el texto redactado del nuevo articulado de la Ley de Enjuiciamiento Criminal, se puede deducir con facilidad que el Gobierno que, conforme a nuestro ordenamiento jurídico, ha liderado la reforma, no ha estado correctamente asesorado por los profesionales que mejor conocen la Informática y las redes, es decir, por Ingenieros e Ingenieros Técnicos en Informática, ahora convertidos en Graduados y Máster, respectivamente, egresados por miles cada año de nuestras universidades. Y baste un ejemplo para confirmar esta premisa.

El nuevo apartado 6 del artículo 282 bis, dispone textualmente que “el agente encubierto informático, con autorización específica para ello, podrá intercambiar o enviar por sí mismo archivos ilícitos por razón de su contenido y analizar los resultados de los algoritmos aplicados para la identificación de dichos archivos ilícitos.” Un algoritmo, en Informática y de forma muy simplificada, es un procedimiento que resuelve un problema. Por tanto, no se entiende muy bien qué quiere expresar el legislador cuando indica que ha de ejecutarse un procedimiento informático para identificar un archivo ilícito que, el agente informático, según dispone el propio artículo, ha enviado a un potencial delincuente haciéndose pasar por ídem, por lo que dicho archivo señuelo ya debería estar totalmente identificado, indexado junto a otros ficheros utilizados para el mismo fin en una base de datos policial centralizada y, por supuesto, almacenados todos ellos en sistemas informáticos seguros y auditados por expertos, internos y externos.

El articulado completo de la Ley está plagado de incoherencias técnicas, como denominar a una red de ordenadores como red de comunicaciones electrónicas en el artículo 588 ter b, que dispone el ámbito para la interceptación de las comunicaciones telefónicas y telemáticas, o referirse en el artículo 588 ter e a un sistema de comunicación telemática, que ya de por sí es una nomenclatura incorrecta, como lógica o virtual, cuando, en función del prisma desde el que se analicen, son términos cuyo significado puede ser similar en lenguaje de calle, por lo que no tendría sentido discriminarlos, o totalmente divergente y fuera de contexto en lenguaje técnico, por lo que ambos estarían fuera de lugar. No se trata, por tanto, de términos que obedezcan a realidades contrapuestas, como parece dar a entender el artículo. Además, el género es incorrecto, ya que la palabra sistema es masculina y la denominación lógica o virtual se refiere a un femenino, que no puede ser telemática ya que carece aún más de sentido denominar a esta disciplina como lógica o virtual que a un sistema de comunicación.

Así pues, es comprensible que el legislador tenga lagunas en aquellas áreas sobre las que dicta normativa legal, pero no se entiende que no se rodee de los profesionales adecuados al objeto de recibir el correcto asesoramiento en la materia sobre la que está legislando.

 

Asimismo, en otro plano, la reforma de la Ley de Enjuiciamiento Civil decreta que los juzgados deberán trabajar, a partir del 1 de enero de 2016, sólo y exclusivamente a través de medios informáticos. Sin embargo, no especifica cómo se llevará a cabo la gestión y salvaguarda de la información almacenada en soporte informático, ni qué tipo de seguridad será necesaria aplicar en las redes informáticas judiciales (conectadas a Internet como cualquier otra red), ni quiénes serán los encargados de ejecutar dichos procedimientos, aunque un análisis pormenorizado de estas cuestiones deberá ser tratado en otro artículo.

 

II. Análisis de las implicaciones informáticas de la reforma de la Ley de Enjuiciamiento Criminal

Para determinar el alcance real de la nueva Ley de Enjuiciamiento Criminal en lo que respecta a la Informática, es necesario analizarla capítulo a capítulo. Como ya se ha mencionado, la reforma gira fundamentalmente en la manera en que la Justicia y las Fuerzas y Cuerpos de Seguridad del Estado deben investigar los delitos clásicos cometidos a través de sistemas informáticos, más que los delitos informáticos propiamente dichos. La comisión de la mayoría de los delitos informáticos propiamente dichos, por su propia naturaleza, no permitía hasta el momento la suspensión de los derechos fundamentales de los sospechosos, aunque a partir de ahora, existen resquicios legales que permitirán esta suspensión. Se incluyen en esta tipología delitos como estafas, sabotajes informáticos, piratería o delitos contra la propiedad intelectual, espionaje empresarial u otro tipo de delitos contra la propiedad industrial, etc., quedando excluidos los delitos cometidos en el seno de una organización criminal, para los que ya sí se contemplaba la suspensión de los derechos fundamentales.

Así pues, la reforma de Ley de Enjuiciamiento Criminal está especialmente enfocada a la forma en que se van a investigar los delitos de terrorismo o su enaltecimiento, de incitación al odio, contra la seguridad del Estado, el crimen organizado (tráfico de armas, trata de seres humanos, tráfico de drogas, etc.) y, en definitiva, todos aquellos delitos que permiten suspender los derechos fundamentales del ciudadano. Pero, es precisamente este tipo de discriminación en la tipología delictiva del que adolece la nueva reforma, dejando a vagos criterios del medio a través del cual se comete el delito investigado, la posibilidad de suspender algo tan importante como los derechos fundamentales y, dejando en el aire, la posibilidad de que en el transcurso de la investigación de delitos considerados menores, se puedan intervenir las comunicaciones, espiar ordenadores mediante programas informáticos especializados (conocidos en la jerga como troyanos), intervenir equipos informáticos y, en definitiva, limitar los derechos recogidos en el artículo 18 de la Constitución Española. Es como si, en lugar de acatar la Constitución y “limitar el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, el legislador se sirviese de los avances de la Informática para limitar los mencionados derechos.

 

III. Adición de los apartados 6 y 7 al artículo 282

Como ya se ha mencionado en párrafos anteriores, a partir de ahora, el juez podrá ordenar que un “agente informático encubierto”, es decir, un “policía informático”, envíe ficheros ilícitos a un sospechoso de haber cometido un delito especificado en el artículo 588 ter a que, a su vez, hace referencia al artículo 579.1 y añade los “delitos cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la comunicación o servicio de comunicación”. En lenguaje llano, un “policía informático” podría enviarnos, si se tiene la sospecha de que estamos cometiendo un delito de cualquier tipo (incluso un delito menor), uno o varios archivos ilícitos que posteriormente podrían ser encontrados en nuestro ordenador en una intervención domiciliaria.

Dichos archivos, incluso, podrían aparecer en inventarios o en informes periciales policiales posteriores como material ilícito hallado en nuestros discos duros o memorias, debido a que, si no existe un inventario efectivo de dichos ficheros ilícitos que vayan a ser utilizados como señuelo, auditados por profesionales externos y almacenados, cada uno de ellos, en una base de datos segura junto a su correspondiente código hash (5) para evitar su manipulación, no sería posible distinguirlos del material ilícito realmente obtenido por el acusado sin la ayuda policial. Además, es necesario incidir también en el hecho indiscutible que supone como incitación a cometer una actividad delictiva el envío de un fichero ilícito a un ciudadano, toda vez que, un delincuente real, podría diseminar estos archivos por la red sin control, siendo encontrados en intervenciones domiciliarias por la Policía Judicial y sin saber si realmente dichos ficheros fueron enviados por la Policía como señuelo, o por delincuentes reales que tomaron esos ficheros policiales y luego los diseminaron como parte de su actividad criminal.

 

IV. Capítulo V, de la interceptación de las comunicaciones telefónicas y telemáticas

El artículo 588 ter a, de la Sección Primera del Capítulo V, dispone como “presupuestos”, que “la interceptación de las comunicaciones telefónicas y telemáticas, sólo podrá ser concedida cuando la investigación tenga por objeto alguno de los delitos a que se refiere el artículo 579.1”, es decir, delitos castigados con pena máxima de tres años de prisión, delitos en el seno de una organización criminal o delitos de terrorismo, así como “delitos cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la comunicación o servicio de comunicación”. Es esta última tipología delictiva la que causa controversia, ya que convierte al sospechoso en el transcurso de una investigación judicial de algún delito menor, en potencial ciudadano que se puede ver privado de sus derechos fundamentales sólo por el hecho de ser usuario de sistemas informáticos.

 

El artículo 588 ter c, también de la Sección Primera del Capítulo V, dispone como “afectación a terceros”, que “podrá acordarse la intervención judicial de las comunicaciones emitidas desde terminales o medios de comunicación telemática pertenecientes a una tercera persona siempre que exista constancia de que el sujeto investigado se sirve de aquella para transmitir o recibir información, o el titular colabore con la persona investigada en sus fines ilícitos o se beneficie de su actividad”. En lenguaje llano, esto quiere decir que cualquier persona que tenga contacto telefónico o mediante aplicaciones informáticas con un sujeto incurso en una investigación criminal, también podrá ser investigada, sólo por el mero hecho de comunicarse con él, ya que no especifica la tipología de la información de la que debe servirse el sujeto investigado (activo) del tercero (pasivo) para que a éste le sean intervenidas las comunicaciones.

 

Un artículo muy controvertido es el 568 ter e, también de la Sección Primera del Capítulo V, que dispone como “deber de colaboración” el que deben “todos los prestadores de servicios de telecomunicaciones, de acceso a una red de telecomunicaciones o de servicios de la sociedad de la información”, etc., al juez, al Ministerio Fiscal y a los agentes de la Policía Judicial. Esto se traduce en que las compañías de telefonía, acceso a Internet, almacenamiento e, incluso, los administradores de sitios web como redes sociales o foros, deberán colaborar obligatoriamente con la Justicia, cediendo datos personales y de conexión, en todos los supuestos en los que ésta les requiera.

Dichos supuestos incluirán, en la teoría, casos de investigación de delitos menores, en los que cualquier usuario sospechoso puede verse envuelto sólo por el mero hecho de utilizar en su día a día, para trabajar o para uso personal, sistemas informáticos, o de terceras personas que pueden verse involucradas en una investigación sólo por mantener contacto telefónico o informático con sospechosos dentro de una investigación de delitos considerados menores. En la práctica, cualquier ciudadano puede, a partir de ahora, encontrarse con que sus datos personales han sido cedidos a la Justicia y ésta ha intervenido sus comunicaciones por haber escrito, por ejemplo, un comentario subido de tono en un blog o foro, o por detectarse que tiene contacto habitual con alguien que escribe comentarios subidos de tono en blogs o foros.

 

Otro artículo polémico es el 588 ter l, de la Sección Tercera del Capítulo V, relativo a la “identificación mediante número IP”. El artículo, dispone textualmente que “cuando en el ejercicio de las funciones de prevención y descubrimiento de los delitos cometidos en internet, los agentes de la Policía Judicial tuvieran acceso a una dirección IP que estuviera siendo utilizada para la comisión algún delito y no constara la identificación y localización del equipo o del dispositivo de conectividad correspondiente ni los datos de identificación personal del usuario, solicitarán del juez de instrucción que requiera de los agentes sujetos al deber de colaboración según el artículo 588 ter e, la cesión de los datos que permitan la identificación y localización del terminal o del dispositivo de conectividad y la identificación del sospechoso”. La catalogación como sospechoso del abonado identificado por una dirección IP mediante la cual se están cometiendo actividades delictivas, cuestiona la jurisprudencia que ya existe (6) al respecto y que dictamina, básicamente, que la asociación entre una IP y un abonado no es condición necesaria y suficiente para culpabilizarle de la comisión del delito, tal y como ha sido explicado por algunos profesionales (7).

 

V. Capítulo VIII, del registro de dispositivos de almacenamiento masivo de información

Continuando con el análisis, en el punto primero del artículo 588 sexies a, del Capítulo VIII, relativo a la “necesidad de motivación individualizada”, se dispone la forma en que la Policía Judicial debe intervenir los ordenadores y dispositivos informáticos del sospechoso en un registro judicial, aunque lamentablemente, la palabra informática no aparece en todo el artículo. Una lectura del artículo y de los subsiguientes, nos revela que no se ha dispuesto normativa legal para garantizar la conservación de la cadena de custodia de los dispositivos informáticos intervenidos. Esto significa que se deja, en cada caso particular, a la libre disposición del juez y de los agentes de la Policía Judicial, la forma efectiva en que se llevará a cabo la mencionada conservación de la cadena de custodia.

No es un asunto baladí el de la conservación de la cadena de custodia, tal y como se ha explicado por algunos profesionales (8). La conservación de la cadena de custodia es vital para las garantías procesales del acusado, ya que si en un examen forense posterior a la intervención domiciliaria, se detecta que las pruebas o dispositivos informáticos están o pueden estar contaminados, se podría llegar a cuestionar o, incluso, invalidar todo el proceso (9).

No es admisible que la nueva Ley de Enjuiciamiento Criminal nazca coja en esta importantísima parte del proceso teniendo en cuenta, sobre todo, los enormes quebraderos de cabeza que suelen dar las pruebas que aparentemente se detectan como contaminadas o posiblemente contaminadas. Por ejemplo, en un encargo reciente del perito que suscribe, el Cuerpo Nacional de Policía intervino a un acusado una serie de discos duros con vídeos cuyo contenido era ilegal según el artículo 189 del Código Penal. Pues bien, tras un examen pormenorizado de los autos, se descubrió que en el inventario de los vídeos realizado por la Policía Judicial en la intervención del domicilio del acusado, acta del secretario judicial, ahora letrado de la administración de justicia, mediante, había menos vídeos y algunos de sus títulos eran distintos, que los que detectó la sección de Informática Forense del Cuerpo Nacional de Policía dos años después, cuando analizó los discos duros y redactó su informe pericial.

La conservación de la cadena de custodia en un disco duro o memoria de almacenamiento masivo es una cuestión delicada. Baste señalar que la mera conexión de un disco duro o memoria USB a un ordenador personal para proceder a su análisis, sin necesidad de interactuar con el disco, contamina la prueba de forma irremediable. Para evitar esta contaminación, es necesario el uso de bloqueadoras de escritura, que son dispositivos que actúan como puente entre el disco duro o memoria y el ordenador, de tal forma que el disco o memoria nunca se conectan directamente al ordenador, sino a la bloqueadora, siendo ésta la que se conecta finalmente a la máquina.

Así pues, la conservación de la cadena de custodia en discos duros y otros dispositivos de almacenamiento masivo es una tarea que debe realizarse con material forense especializado, capaz de clonar (10) (que no copiar, que es un concepto distinto en Informática Forense), los discos duros de forma rápida y proporcionar un código hash al investigador, calculado a partir de un algoritmo de cifrado (11) estándar. Según la jurisprudencia (12), no es necesario que el letrado de la administración de justicia esté presente hasta que concluya el volcado (clonado) de los discos duros, por lo que el código hash proporcionado por las clonadoras para cada disco intervenido y su copia, no podría, normalmente, ser anotado en el acta levantada por el letrado de la administración de justicia y debería, por tanto, ser anotado por los agentes de la Policía Judicial en un atestado levantado a efecto de la intervención domiciliaria.

 

Siguiendo con el análisis del segundo punto del mismo artículo, en éste se dispone que la incautación de material informático en un registro domiciliario no legitima el acceso a su contenido, algo para lo cual se necesita, según el propio artículo, una autorización ulterior del juez. Este punto es extremadamente importante, ya que si la Policía Judicial no puede acceder in situ a los discos duros al objeto de que el letrado de la administración de justicia levante acta, delante del acusado, del contenido de los mismos y, dicho acceso sólo puede ser autorizado de forma ulterior, es decir, posterior, por el juez, la cadena de custodia de los discos se perdería de forma automática salvo que se realice una clonación de cada disco y se genere y anote su correspondiente hash y el de su copia clónica en la propia intervención domiciliaria, tal y como se ha explicado en los párrafos anteriores.

Bien es cierto que la legislación española garantiza de forma teórica el mantenimiento de la cadena de custodia de las pruebas incautadas hasta que son llevadas a sede judicial y analizadas, aunque no puede obviarse que un disco duro o memoria es un dispositivo que puede ser fácilmente manipulado, incluso hasta el punto de no dejar rastro en la manipulación, por lo que las garantías del acusado quedarían a merced de la buena voluntad de los funcionarios judiciales y policiales, lo cual es inadmisible. Alguien malintencionado podría desprecintar cuidadosamente el disco duro, manipularlo sin dejar rastro y volver a colocar el precinto. Cualquier suspicacia sería evitada con una clonación in situ del material intervenido, delante del acusado y su letrado, obteniendo los códigos hash correspondientes para cada disco duro y su copia clónica.

En la Informática, casi cualquier dispositivo, programa o almacén de datos es manipulable, hasta el punto de que incluso puede no dejarse rastro de la manipulación, tal y como demostró el profesional que suscribe con los mensajes de WhatsApp, una de las diez aplicaciones más utilizadas del mundo con 700 millones de usuarios, en un artículo técnico (13) publicado en su página web hace pocas semanas, con una notable repercusión en los medios más importantes del país, tales como el diario El Mundo (14), la cadena COPE (15) o el Telediario de Televisión Española (16), así como en medios internacionales. Esta importante circunstancia, es decir, que los dispositivos, programas y bases de datos informáticas son manipulables sin que muchas veces pueda detectarse tal manipulación, ni siquiera por peritos informáticos, debe tenerse muy en cuenta a la hora de trabajar con ellos a nivel judicial, con el objeto único del cumplimiento de todas las garantías procesales para con el acusado.

 

Ahondando en la falta de definición de un reglamento procesal para el mantenimiento de la cadena de custodia de los dispositivos informáticos intervenidos a un acusado, el punto primero del artículo 588 sexies c, del Capítulo VIII, relativo a la “autorización judicial” de la intervención de los dispositivos informáticos, dispone que será el juez de instrucción el que “autorice el acceso a la información contenida en los dispositivos” incautados, fijando “los términos y el alcance del registro” y pudiendo “autorizar la realización de copias de los datos informáticos”. Asimismo y, muy importante, el artículo fija que será el juez quien determine “las condiciones necesarias para asegurar la integridad de los datos y las garantías de su preservación” al objeto de poder practicar una prueba pericial.

En ningún caso se indica cómo se debe producir el acceso de los agentes a la información al objeto de garantizar la integridad y las garantías de preservación de los datos informáticos, ni tampoco cómo deben realizarse las copias de los datos. Y he aquí un punto fundamental y con consecuencias muy graves, ya que la Ley no especifica que se realizarán copias de los dispositivos (discos o memorias), sino de los datos, lo que genera una inseguridad muy alta teniendo en cuenta que para copiar los datos es necesario acceder directamente a los mismos (por lo que la prueba quedaría automáticamente contaminada, tal y como se ha especificado en párrafos anteriores y, además, los discos podrían ser alterados a discreción en origen y en destino, añadiendo o eliminando datos, sin dejar rastro de la manipulación, tal y como también ya se ha especificado). Asimismo, normalmente, cuando se copian datos directamente de un dispositivo a otro (en lo que se denomina copia lógica), los archivos borrados no se copian, razón por la cual es necesario ejecutar una copia física o clonación.

 

Finalizando el análisis del Capítulo VIII, el punto cuarto del artículo 588 sexies c, dispone que, en casos de urgencia, que no aparecen especificados en el presente apartado del artículo en cuestión, la Policía Judicial podrá acceder sin autorización judicial a los medios incautados motivando un escrito, dentro de las primeras veinticuatro horas desde la intervención domiciliaria, que justifique la necesidad de dicho acceso al juez, siendo éste el que, en un plazo de setenta y dos horas, deberá contestar afirmativa o negativamente. Es decir, que la Policía podrá acceder sin autorización judicial, al menos inicialmente, a los dispositivos incautados. No se dispone que el abogado del acusado deba estar delante cuando se produzca este acceso al material y, tal y como ya se ha mencionado anteriormente, un disco duro o memoria es un dispositivo físico que puede ser muy fácilmente manipulado sin dejar rastro, por lo que, una vez más y de forma inaceptable, se delegan las garantías procesales del acusado en los funcionarios policiales en lugar de en el propio proceso, lo cual es inadmisible.

 

Como colofón al análisis del Capítulo VIII, relativo al registro de dispositivos de almacenamiento masivo de información, se puede concluir que el proceso para el mantenimiento efectivo de la cadena de custodia en dichos dispositivos brilla por su ausencia. No se entiende, por tanto, que una Ley de carácter eminentemente procesal como la que se ha reformado, no incluya directrices de obligado cumplimiento para el efectivo mantenimiento de la cadena de custodia de todos los dispositivos incautados a un sospechoso, pudiéndose llegar a poner, incluso, en tela de juicio, las garantías procesales del ciudadano investigado.

 

VI. Capítulo IX, sobre los registros remotos sobre equipos informáticos

Otro de los artículos más controvertidos de la nueva Ley es el 588 septies a, relativo a los “presupuestos”, en el que se dispone que el juez “podrá autorizar la utilización de datos de identificación y códigos, así como la instalación de un software, que permitan, de forma remota y telemática, el examen a distancia y sin conocimiento de su titular o usuario del contenido de un ordenador, dispositivo electrónico, sistema informático, instrumento de almacenamiento masivo de datos informáticos o base de datos”, siempre que se sospeche que se están cometiendo delitos en el seno de una organización criminal, delitos de terrorismo, delitos cometidos contra menores o discapacitados, así como “delitos cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la comunicación o servicio de comunicación”. Una vez más, al igual que en el artículo 588 ter a, no se define qué tipología de delitos se enmarca en esta última definición, generando una importante inseguridad jurídica que permitirá intervenir las comunicaciones e instalar programas informáticos intrusivos en los ordenadores de personas que, por ejemplo, escriban determinado tipo de comentarios considerados como peligrosos en foros o en redes sociales. Como se puede observar, la Ley queda totalmente abierta, sin limitar de forma efectiva en qué supuestos las autoridades podrán suspender los derechos constitucionales del ciudadano.

Un escollo muy importante, además, reside en el tipo de programas informáticos que se van a utilizar para espiar a los ciudadanos que se vean involucrados en el curso de una investigación de este tipo, dónde se van a poner los límites a las acciones que pueden realizar dichos programas (en la práctica, las posibilidades que ofrecen el uso de este tipo de sistemas son muy amplias, inclusive el envío y recepción de archivos ilícitos a través de una backdoor (17) sin que el sospechoso se percate, tal y como indica el nuevo artículo 282 bis, apartado 6, de tal forma que luego podrían ser utilizados judicialmente en su contra), así como qué profesionales van a auditar de forma externa el código fuente de estos programas para verificar que efectivamente no se extralimitan en sus funciones. Ninguna de estas importantísimas eventualidades aparecen recogidas en la Ley, lo cual general, una vez más, una inseguridad jurídica inaceptable.

 

Como se indicó al principio del artículo, la Ingeniería Informática es, lamentablemente, una profesión no regulada por el Estado, siendo la única Ingeniería de relevancia aún en el limbo jurídico. El que, a partir de ahora, un agente de Policía, haciéndose pasar por delincuente, pueda enviar archivos ilegales a nuestros ordenadores, o programas informáticos que pueden espiarnos, así como que dichos programas pueden llegar incluso a ser capaces de recibir también archivos ilegales que, posteriormente, podrían ser potencialmente utilizados en nuestra contra, nos ofrece una idea de la encrucijada jurídica en la que nos encontramos.

Sin un registro pormenorizado de los ficheros que van a ser utilizados como señuelos por parte de la Policía, así como de los programas informáticos que se utilizarán como troyanos para espiar a los sospechosos, auditados y almacenados ambos en bases de datos seguras, junto a sus códigos hash para evitar cualquier posible manipulación malintencionada sobre los mismos, ningún proceso judicial tendrá las debidas garantías procesales. Sin un registro, como decimos, de ficheros señuelo y troyanos, sería virtualmente imposible discriminar qué archivos han sido enviados por los agentes encubiertos o por troyanos, en lugar de ser conseguidos de forma ilícita por el sospechoso, por lo que se podría dar la paradoja de que un ciudadano fuese condenado por tener en su posesión y, eventualmente, distribuir, archivos ilícitos que en realidad le fueron enviados como señuelos por parte de algún agente encubierto de la Policía o de algún troyano policial.

Únicamente profesionales titulados en Ingeniería Técnica e Ingeniería Informática pueden auditar este tipo de archivos y programas informáticos, ya que son los únicos en cuyos planes de estudio se imparten todas las materias relativas a la construcción de sistemas de software informático, concretamente, Programación, Bases de Datos, Teoría de la Computabilidad y Autómatas, Sistemas Operativos, Ingeniería del Software, Análisis de Sistemas, Arquitectura de Computadores, Sistemas Distribuidos, Inteligencia Artificial y Administración de Proyectos Informáticos, entre otras. Así pues, los Colegios de Ingenieros e Ingenieros Técnicos en Informática, deberían organizar, con la ayuda y el patrocinio del Gobierno, turnos de actuación profesional para que todos los profesionales habilitados que lo deseen, puedan participar en la auditoría de estos ficheros y troyanos que serán utilizados por la Policía.

 

VII. Conclusiones

Como conclusiones finales, obtenemos que la nueva Ley de Enjuiciamiento Criminal ha sido redactada sin el correcto asesoramiento técnico, que se abre un nuevo tiempo de inseguridad jurídica en el que los derechos fundamentales de los ciudadanos podrán ser suspendidos por la simple sospecha de la comisión de delitos considerados menores, que sigue sin establecerse un reglamento que garantice el mantenimiento de la cadena de custodia de dispositivos informáticos intervenidos y, finalmente, que la Policía Judicial podrá enviar a nuestros ordenadores, si considera que somos sospechosos de cometer delitos incluso menores, todo tipo de ficheros ilícitos y troyanos que podrán espiar nuestro ordenador y comunicaciones, que no serán auditados por los únicos profesionales que conocen en profundidad la Informática y las redes y que, teniendo en cuenta que, de entrada, no serán indexados y almacenados de forma segura, podrán aparecer en nuestros sistemas informáticos en intervenciones que realice la Policía Judicial en nuestros domicilios, como ficheros conseguidos de forma ilícita.

 

VIII. Referencias

Boletín Oficial del Estado – Ley Orgánica 13/2015, de 5 de octubre, de modificación de la Ley de Enjuiciamiento Criminal para el fortalecimiento de las garantías procesales y la regulación de las medidas de investigación tecnológica.

(1) El firmware es un tipo de programa informático muy cercano al hardware o electrónica del dispositivo, lo cual significa que lo controla directamente, estando la interacción con el usuario final muy limitada.

(2) El software es el soporte lógico de un sistema informático, compuesto por bloques de instrucciones escritas en un lenguaje de programación determinado, que componen el código fuente del programa, necesitando para su ejecución de una interacción importante con el usuario final.

(3) Anguas Balsera, Joaquím – La cadena de valor en la prueba con base informática

(4) Taruffo, Michele – La prueba, Ed. Marcial Pons 2008, página 85

(5) Un hash es un código alfanumérico obtenido mediante un procedimiento matemático, el cual es único para el fichero, disco o memoria del cual se calcula.

(6) STS 8316/2012.

(7) Rubio Alamillo, Javier – http://peritoinformaticocolegiado.es/la-direccion-ip-en-el-peritaje-informatico/

(8) Rubio Alamillo, Javier – http://peritoinformaticocolegiado.es/cadena-de-custodia-en-el-peritaje-informatico/

(9) STS 2156/2012.

(10) Rubio Alamillo, Javier – http://peritoinformaticocolegiado.es/clonacion-de-discos-duros-en-el-peritaje-informatico/

(11) Un algoritmo de cifrado es un procedimiento matemático que transforma la información para que pueda ser enviada por un canal no seguro sin que se pueda conocer el contenido de la misma.

(12) STS 1599/1999.

(13) Rubio Alamillo, Javier – http://peritoinformaticocolegiado.es/vulnerabilidad-en-whatsapp-falsificacion-de-mensajes-manipulando-la-base-de-datos/

(14) http://www.elmundo.es/tecnologia/2015/10/01/560d531a22601d40448b459b.html

(15) http://www.cope.es/player/ponedores-whatsapp-rastro-Javier-Rubio-121015&id=2015101205040001&activo=10

(16) http://www.rtve.es/alacarta/videos/telediario/telediario-21-horas-13-10-15/3322221/

(17) Una backdoor o puerta trasera, se define como un subprograma que actúa realizando ciertas funciones desconocidas por parte del usuario del mismo.

Vulnerabilidad en WhatsApp: falsificación de mensajes manipulando la base de datos

WhatsApp es la aplicación de mensajería instantánea más utilizada del mundo. Más de setecientos millones de usuarios en todo el planeta (la décima parte de toda la Humanidad), la utiliza para intercambiar mensajes de texto y de voz, ficheros de audio y de vídeo, etc. El hecho de que sea una aplicación universalmente utilizada, implica también que muchas personas, involucradas en procesos judiciales, presenten los mensajes de WhatsApp como prueba si quieren demostrar que una conversación, en unos términos concretos, ha tenido lugar entre determinados interlocutores.

Existe ya jurisprudencia en España en la admisión como prueba de mensajes de WhatsApp, como por ejemplo en la Sentencia de la Audiencia Provincial de Alicante Número 4/2014, de 9 de enero, en el ámbito civil, o la Sentencia de la Audiencia Provincial de Madrid Número 533/2014, de 24 de julio, en el ámbito penal. También han sido rechazados, como por ejemplo en la Sentencia de la Audiencia Provincial de Madrid Número 51/2013 de 23 de septiembre, por entenderse que, según transcripción textual de la sentencia, los “contenidos no han sido reconocidos por el acusado, ni se ha practicado sobre los mismos prueba pericial informática que acredite su autenticidad y su envío”, lo cual quiere decir que, si la otra parte no reconoce el envío de los mensajes, se deberá presentar un peritaje informático que avale la autenticidad de los mismos. Además, recientemente se ha fallado por el Tribunal Supremo en la STS 2047/2015 que, en general, para la admisión como prueba de cualquier conversación mantenida a través de una red social, es necesaria la presentación de un informe pericial informático por parte de un perito informático.

Que actualmente ya se estén admitiendo como pruebas los mensajes enviados y recibidos a través de WhatsApp, otorga una dimensión extraordinaria a esta aplicación, de tal forma que debe tenerse en cuenta la posibilidad de que los mensajes puedan ser manipulados, no sólo a la hora de realizar el envío del propio mensaje, como ya fue demostrado por dos ingenieros informáticos españoles, sino también una vez los mensajes han sido enviados o recibidos, es decir, directamente sobre la base de datos en la que se almacenan los mismos. Éste es el archivo sobre el que debe practicarse la prueba pericial informática cuando se presentan los mensajes de WhatsApp en un procedimiento judicial, por lo que es de vital importancia que dicho fichero permanezca íntegro o, al menos que, si se manipula maliciosamente, esta alteración pueda ser advertida tras un análisis forense por parte de un perito informático. Lo que se pretende demostrar en el presente artículo, es que dicho archivo de base de datos puede ser manipulado, alterando las conversaciones de tal forma que la manipulación podría perfectamente pasar inadvertida para un perito informático que realizase una investigación forense sobre el terminal móvil.

 

En primer lugar, se procederá a un intercambio de mensajes de WhatsApp (los que luego serán manipulados), entre dos terminales móviles cuya versión de WhatsApp instalada es la 2.12.250 en ambos. Estos terminales son un Samsung Galaxy S6 y un Wiko Goa, cuyo sistema operativo en ambos casos es Android, versión 5.1.1 y 4.4.2, respectivamente. Así pues, a continuación, se muestran los mensajes enviados y recibidos a modo de ejemplo entre ambos terminales.

Captura conjunta

Seguidamente, se ha de indicar que la base de datos interna de WhatsApp utiliza SQLite como Sistema Gestor de Base de Datos, por lo que se trata, por tanto, de un sistema relacional. Asimismo, una copia de esta base de datos, se encuentra fácilmente accesible conectando el terminal móvil al ordenador, estando ésta cifrada mediante criptografía simétrica utilizando el algoritmo AES, cuyo funcionamiento puede observarse en el siguiente diagrama.

Diagrama AES

Como se puede apreciar, la clave de cifrado y descifrado es la misma. Esto equivale a decir que la misma clave se utiliza para cifrar y para descifrar la base de datos, estando ésta almacenada y accesible en el directorio que utiliza WhatsApp. Sin embargo, la base de datos original, es decir, la que es utilizada por la aplicación para almacenar los mensajes inmediatamente después de ser enviados o recibidos, no está cifrada, sino que se encuentra almacenada en texto claro en uno de los directorios que la aplicación tiene en el sistema operativo. Esta base de datos no es accesible conectando directamente el terminal al ordenador, pero sí lo es una vez el terminal Android ha sido rooteado, es decir, configurado para ser accedido en modo súper-usuario, lo cual es algo muy sencillo de realizar incluso para usuarios no expertos.

 

Así pues, una vez el móvil ha sido rooteado (para este ejemplo, se usará el Wiko Goa), tener acceso a la base de datos original es una operación muy sencilla. Para ello, usando la utilidad ADB para Windows de las herramientas de desarrollo de Android, es necesario ejecutar los siguientes comandos al objeto de abrir una sesión con el terminal (primeramente es necesario haber instalado correctamente las herramientas de desarrollo de Android y los drivers del dispositivo móvil del cual se desea obtener su base de datos de WhatsApp, así como haber activado el “modo de depuración USB” en el citado terminal Android):

C:\android-sdk-windows\platform-tools>adb devices
C:\android-sdk-windows\platform-tools>adb shell

Una vez se han ejecutado estos dos comandos, la utilidad ADB abre una sesión con el terminal móvil, tal y como se observa en la siguiente imagen.

DOS-1

Es necesario indicar que, como servidor de ADB en el dispositivo móvil, es posible que sea necesario instalar y ejecutar una aplicación como ADB Insecure, más conocido como ADBD, al objeto de que se pueda transferir información entre el móvil y Windows y viceversa. Esto es así debido a que ciertas características de la utilidad ADB de serie no pueden ser utilizadas en versiones estables, es decir, finales, de Android, sino únicamente en versiones de desarrollo.

A continuación, es necesario acceder en modo súper-usuario al terminal, ya que la base de datos original de WhatsApp se encuentra en un directorio que sólo puede ser visualizado con privilegios de administrador. Para ello, es necesario ejecutar el comando “su”, tal y como se aprecia en la siguiente imagen.

DOS-2

Siendo ya súper-usuario, es necesario moverse al directorio en el que se encuentra la base de datos original de WhatsApp, ejecutando el siguiente comando:

# cd /data/data/com.whatsapp/databases

Al ejecutar un listado de los ficheros presentes en dicho directorio, mediante el comando “ls -la”, se aprecian los siguientes archivos:

DOS-3

Como se puede observar, el fichero que interesa es el remarcado en rojo. Ésta es la base de datos original de WhatsApp en la que se almacenan los mensajes inmediatamente después de ser enviados o recibidos. Una vez se ha visualizado el archivo que interesa, es necesario ejecutar el comando “exit” dos veces para volver a Windows, ya que será desde allí desde donde se tomará el archivo de base de datos de WhatsApp.

 

Ya en Windows, es necesario ejecutar el siguiente comando, al objeto de traer a Windows la base de datos (aunque es necesario, previamente, para disponer de todos los mensajes, incluyendo los enviados y recibidos en último lugar, haber realizado una copia de seguridad de los mensajes desde la propia aplicación WhatsApp, en el menú Ajustes -> Chats y llamadas -> Guardar chats):

C:\android-sdk-windows\platform-tools>adb pull /data/data/com.whatsapp/databases/msgstore.db

La ejecución exitosa del comando presenta la siguiente información en la consola:

DOS-4

La siguiente captura de pantalla del directorio de Windows en el que se encuentra la utilidad ADB, muestra que en dicha carpeta ha sido depositado el fichero “msgstore.db” (seleccionado en la imagen):

WIN-1

Para abrir el mencionado fichero de base de datos, será necesario un cliente de SQLite, habiendo sido seleccionado para este ejemplo el cliente de código abierto SQLiteStudio. Así pues, es necesario abrir el programa y, posteriormente, navegar hasta el menú Database -> Add a database, al objeto de añadir una nueva base de datos, por lo que se deberá buscar y seleccionar el archivo de base de datos que se desea alterar, en este caso “msgstore.db”, localizado en el directorio en el que se encuentra la utilidad ADB. Una vez añadida la base de datos, ésta aparece en SQLiteStudio como se aprecia en la siguiente imagen (remarcada en rojo).

WIN-2

Seguidamente, es necesario conectarse a la base de datos. Para ello, con la base de datos seleccionada, hay que navegar hasta el menú Database -> Connect to the database, de tal forma que el cliente se conecta inmediatamente a la base de datos. Desplegando la base de datos, se puede observar que ésta está conformada por once tablas, tal y como se observa en la siguiente imagen.

WIN-3

De todas estas tablas, las que interesan son las siguientes:

  • messages, que almacena los mensajes enviados y recibidos, así como varias propiedades de los mismos.
  • messages_fts_content, que almacena los mensajes enviados y recibidos sin ninguna propiedad, únicamente con la misma clave primaria que en la tabla messages.

 

Para modificar un mensaje enviado o recibido es tan sencillo como realizar los siguientes pasos:

  1. En primer lugar, es necesario conocer la clave primaria del mensaje que se desea modificar. Para ello, lo más óptimo es ejecutar una consulta de búsqueda por el patrón del mensaje en el propio cliente de SQLite. Así pues, para modificar el mensaje del ejemplo, se ejecutará la siguiente consulta, que proporcionará todos aquellos mensajes donde aparece la palabra “whatsapp”, de tal forma que pueda tomarse el identificador del mensaje que se desea modificar:
    select * from messages where data LIKE “%whatsapp%”;

    La ejecución de la consulta se aprecia en la siguiente imagen, en la que únicamente se han devuelto dos registros, debido a que la palabra “whatsapp” sólo aparece dos veces en todos los mensajes (se ha remarcado en rojo, asimismo, el botón del cliente de SQLite con el cual se puede acceder al editor de SQL).

    WIN-4

    Ampliando la imagen sobre los mensajes, remarcados en rojo, se ve claramente que se trata de los mensajes recibidos desde el Samsung Galaxy S6 en el Wiko Goa:

    WIN-5

  2. El mensaje que se va a modificar va a ser el que tiene como clave 7934. Por tanto, es necesario anotar dicha clave y, acto seguido, editar el campo data de la tabla messages, directamente desde el propio resultado devuelto por la consulta, escribiendo lo que interese, para inmediatamente después pulsar en el botón commit al objeto de persistir los cambios realizados. En la siguiente imagen se muestra el registro ya modificado y persistido tras haber pulsado el botón commit (el cual se halla remarcado en rojo).

    WIN-6

    La nueva frase, como se puede observar, es “WhatsApp es una aplicación segura. No hay nada que temer sobre ella.” Nótese que la anterior frase era “WhatsApp es una aplicación insegura.”

  3. Posteriormente, es necesario editar la tabla messages_fts_content, para lo cual hay que dirigirse al árbol de tablas, pinchar con el botón derecho en la misma y seleccionar la opción Edit the table. Una vez en el editor, es necesario aplicar un filtro (remarcado en rojo y usando la clave, 7934), al objeto de encontrar el registro deseado, tal y como se aprecia en la siguiente imagen.

    WIN-7

    Una vez se ha localizado al registro, es necesario proceder a cambiar el texto. A continuación, se muestra una imagen con el registro modificado y persistido, procurando mantener el estilo de la citada tabla (todo el texto en minúsculas, las palabras separadas por tres espacios y los signos de puntuación separados de la palabra anterior por un espacio):

    WIN-8

    En realidad, la modificación de esta tabla no sería estrictamente necesaria para que en la aplicación se viesen los mensajes alterados como si fuesen auténticos, pero sí es necesario si se quiere dificultar el trabajo del perito informático que vaya a analizar los mensajes y dictaminar si realmente fueron enviados y/o recibidos, es decir, si son auténticos.

 

Una vez realizados todos los pasos anteriores, es necesario seleccionar con el botón derecho del ratón la base de datos en SQLiteStudio y ejecutar la opción Disconnect from the database, para acto seguido salir del programa. Posteriormente, se debe copiar la base de datos alterada en el teléfono, sustituyendo la original. Para ello, es necesario ejecutar el siguiente comando en la consola de Windows (como se mencionó anteriormente, la aplicación ADB Insecure debe encontrarse en ejecución en el móvil):

C:\android-sdk-windows\platform-tools>adb push msgstore.db /data/data/com.whatsapp/databases/msgstore.db

La ejecución exitosa de este comando presenta la siguiente salida por pantalla:

DOS-5

Para dejar el menor rastro posible de la manipulación, es necesario modificar tanto el propietario como el grupo del fichero de base de datos, que al haberlo copiado como root, es decir, como súper-usuario, tendrá tanto este propietario como este grupo. Para apreciarlo, se debe navegar hasta el directorio en el que se encuentra la base de datos, ejecutando los siguientes comandos:

C:\android-sdk-windows\platform-tools>adb shell
# su
# cd /data/data/com.whatsapp/databases
# ls –la

Tras la ejecución de los comandos anteriores, la salida es la siguiente:

DOS-6

Como se puede apreciar dentro del rectángulo remarcado en rojo, el nuevo propietario del fichero “msgstore.db”, es el súper-usuario, así como también el nuevo grupo del fichero es el grupo del súper-usuario. Para revertir esta situación, es necesario ejecutar el siguiente comando:

# chown u0_a88:u0_a88 msgstore.db

Posteriormente, ejecutando el comando “ls –la”, se puede observar que tanto el propietario como el grupo ya han cambiado, tal y como se observa en la siguiente imagen:

DOS-7

Como se puede apreciar, el nuevo propietario y el nuevo grupo del fichero “msgstore.db” es u0_a88, que es el mismo que tienen todos los demás ficheros. Para abandonar el modo de depuración, es necesario ejecutar dos veces el comando “exit” y, posteriormente, ya desde Windows, es necesario ejecutar el comando “exit” para cerrar la consola.

 

Una vez realizado todo el proceso, debe reiniciarse el teléfono móvil y acceder, mediante la utilidad ADB, al directorio en el que se encuentra la base de datos, al objeto de comprobar que las fechas de último acceso de la misma se han actualizado y que no es posible determinar si la base de datos ha sido sustituida por una alterada. Para ello, es necesario ejecutar los siguientes comandos:

C:\android-sdk-windows\platform-tools>adb devices
C:\android-sdk-windows\platform-tools>adb shell
# su
# cd /data/data/com.whatsapp/databases
# ls -la

La ejecución de estos comandos ofrece el siguiente resultado:

DOS-8

Como se puede observar, la fecha de última modificación de la base de datos es muy similar al resto de fechas de los otros archivos utilzados por WhatsApp, por lo que sería muy difícil dictaminar que la base de datos ha sido manipulada. Para ello, serían necesarias técnicas de file carving, es decir, recuperación de ficheros borrados, las cuales son muy costosas debido a las herramientas hardware y software necesarias y, además, no garantizan el éxito porque las áreas del sistema de ficheros ocupadas por ficheros borrados, son sobrescritas por el sistema operativo en función de las necesidades de éste.

A continuación, se muestra el resultado del proceso visualizado en el WhatsApp del teléfono Wiko Goa, junto a la imagen original de los mensajes enviados por el Samsung Galaxy S6:

Captura conjunta final modificada

Como se puede observar, el último mensaje ha sido alterado, de tal forma que ha pasado de aparecer “WhatsApp es una aplicación insegura.”, a “WhatsApp es una aplicación segura. No hay nada que temer.” Seguidamente, se adjunta una captura de pantalla en la que aparecen tanto la versión original como la modificada, para apreciar las diferencias.

Capturas original y modificada

Como se puede apreciar, la manipulación es sencillamente indetectable a simple vista y, aún realizando un examen pericial informático, resultaría muy difícil de detectar si se han tomado todas las precauciones indicadas en este artículo. También es necesario indicar que muchas más precauciones pueden ser tomadas para evitar que un perito informático detecte una manipulación en el envío y la recepción de mensajes de WhatsApp, puesto que la tecnología y la informática evolucionan cada día.

 

Cabe añadir que, de la misma forma que se han manipulado los mensajes ya enviados y/o recibidos, también es posible y relativamente sencillo generar mensajes que no existían, aparentemente procedentes de cualquier teléfono del mundo, incluso de números inexistentes, haciéndose pasar por auténticos y siendo también muy difícil determinar si lo son o no. Para ello es necesario, además de manipular las tablas en las que se almacenan los mensajes, alterar también la tabla que almacena los contactos, es decir, la denominada chat_list.

 

Como conclusión, se extrae que WhatsApp es una aplicación muy poco segura y fácilmente manipulable, por lo que la aceptación de conversaciones mantenidas a través de la misma como prueba en un juicio, debe realizarse con cautela y, por supuesto, siempre con el aval de un perito informático colegiado. Por tanto, cuando un perito informático se enfrente a la realización de un peritaje informático sobre la autenticidad de determinadas conversaciones mantenidas a través de WhatsApp, deberá realizar un profundo análisis forense de todos los elementos a su alcance para dictaminar si las conversaciones son o no auténticas.

El perito informático en el proceso penal

Existen numerosas ocasiones en las que un peritaje informático es determinante en un proceso penal. Por ejemplo, en el sabotaje de un sistema informático, en la distribución ilegal de ficheros protegidos por las leyes de propiedad intelectual, en la tenencia o distribución de ficheros ilegales (por ejemplo, de pornografía infantil), e inclusive, en el ámbito laboral, en delitos contra la propiedad industrial (como el espionaje industrial), de revelación de secretos (como la inspección no autorizada de buzones de correo electrónico), etc. En todos estos casos, la intervención de un perito informático, bien de parte, bien de alguna de las Fuerzas y Cuerpos de Seguridad del Estado, es esencial para establecer y formalizar la acusación. Es, además, absolutamente imprescindible que, en un proceso judicial de estas características, el perito informático tome todas las precauciones que estén a su alcance para garantizar la preservación de la cadena de custodia de las pruebas, al objeto de que la acusación se pueda formalizar con todas las garantías procesales para el acusado.

 

Es paradigmático que en varios de los procesos penales a los que normalmente se enfrenta un perito informático y en los que ya ha intervenido otro perito informático, generalmente no titular (artículo 457 de la Ley de Enjuiciamiento Criminal), la acusación haya sido establecida en base a inferencias o suposiciones que normalmente descansan en investigaciones forenses realizadas sobre pruebas en las que la cadena de custodia no han sido preservada, de tal forma que dichas pruebas han sido analizadas directamente, sin clonados forenses ni precauciones de ningún tipo. Cuando una prueba es analizada directamente por un perito informático, sin haber realizado un clonado forense ni tomando precauciones relativas al bloqueo de escritura de la misma, ésta queda automáticamente alterada y, por tanto, invalidada de cara a un posible análisis posterior por parte de otro perito informático, que no podría establecer de forma fehaciente un instante temporal en el cual fue analizada la prueba (es decir, una instantánea de la misma) ni, por tanto, si la alteración se produjo antes o después del análisis por parte del primer perito informático. Así pues, la mera conexión de una evidencia a un ordenador sin la pertinente toma de precauciones, implica su irremediable alteración e invalidación a nivel informático forense.

 

Cuando un perito informático detecta, en un análisis forense relativo a un proceso penal o, en el análisis de un informe pericial informático adjunto a dicho proceso, que una prueba de cargo ha sido directamente analizada y, por tanto, alterada, debido a lo cual la cadena de custodia no ha sido preservada, es necesario elaborar un contra-informe pericial informático argumentando esta eventualidad. La no preservación de la cadena de custodia de una prueba debido a su manipulación directa, sin que se hayan realizado clonados forenses ante un fedatario público que haya certificado el estado de la misma en el momento de su intervención, puede invalidar totalmente la acusación penal basada en el primer análisis realizado sobre dicha prueba, siempre y cuando ésta sea de cargo y toda la acusación descanse sobre el mencionado análisis, es decir, que no haya más pruebas contra el acusado que la pericial informática.

 

Así pues, en estas situaciones, es vital contar con los servicios de un perito informático colegiado (es decir, un perito titular según el artículo 457 de la Ley de Enjuiciamiento Criminal, que atribuye únicamente la titularidad a los peritos que han cursado estudios universitarios en su materia y la no titularidad a los que no), al objeto de poder argumentar con la mayor firmeza y, siempre desde el mejor punto de vista técnico (que sólo puede proporcionar un profesional colegiado), que el primer análisis no fue llevado a cabo siguiendo los protocolos de la informática forense y, por tanto, que la prueba está alterada y la cadena de custodia rota. Si la única prueba contra el acusado, por tanto, es una pericial informática no ortodoxa, al tratarse de un proceso penal, el juez probablemente aplicará el principio jurídico conocido como in dubio pro reo y declarará absuelto al acusado.

El Tribunal Supremo dictamina que un perito informático debe autentificar las conversaciones mantenidas a través de una red social

El 19 mayo de 2015, tal y como se recoge en numerosos medios de comunicación, el Tribunal Supremo de España dictaminó en la Sentencia 2047/2015 que, para que una conversación entre dos personas mantenida a través de una red social, sea considerada como auténtica y pueda ser aceptada como prueba válida en un procedimiento judicial, debe ser autentificada por un perito informático en un dictamen pericial informático. Según la sentencia, no es suficiente con presentar como prueba los “pantallazos” de la conversación, que son susceptibles de estar manipulados, inclusive hasta el punto de que un único usuario puede simular mantener una conversación en la que realmente se relaciona consigo mismo a través de identidades fingidas, por lo que dichas conversaciones deben ser analizadas por un perito informático y autentificadas en un informe pericial informático al objeto de demostrar su autenticidad.

 

La Sentencia del Tribunal Supremo viene a confirmar la necesidad, ya puesta de manifiesto por este perito informático con anterioridad, de contar con la certificación de un dictamen pericial firmado por un perito informático a la hora de autentificar contenidos en redes sociales como Facebook, Twitter, Tuenti o, incluso, cuando se trata de mensajes intercambiados a través de WhatsApp, la aplicación de mensajería instantánea más utilizada en dispositivos móviles como Android y Apple. Las conversaciones o chats entre usuarios son una tipología de contenido al igual que lo son las fotografías, los vídeos, los comentarios en el panel de usuario (en la jerga, muro), etc. Un pantallazo de una conversación, una fotografía o un comentario son elementos absolutamente susceptibles de ser manipulados, fundamentalmente por programas de edición de imagen, por lo que es necesario analizar directamente el contenido original y realizar un peritaje informático sobre el mismo.

 

En la autentificación de conversaciones u otro tipo de contenido en redes sociales, es necesario tener en cuenta que puede existir contenido volátil, es decir, que puede desaparecer al ser borrado por su autor original, siendo extremadamente difícil volver a recuperarlo, ya que sería necesaria una orden judicial, la colaboración de la red social en cuestión con las autoridades españolas (están radicadas en países extranjeros en su mayoría), y que la red social no haya eliminado definitivamente la información. Así pues, se debe dejar constancia del contenido de la red social antes de que se produzca un posible borrado del mismo, para lo cual sólo existen dos opciones que deben ser ejecutadas con la máxima celeridad, bien acudir al notario con un perito informático para que dé fe del contenido a autentificar de la red social, bien certificar el contenido mediante alguna herramienta de tercero de confianza, como eGarante. En ambos casos, un peritaje informático acompañará al acta notarial (el notario sólo puede dar fe de lo que ve, no pudiendo asegurar la autenticidad de nada en lo que deban intervenir conocimientos periciales), o a los ficheros certificados por la herramienta de tercero de confianza. Por tanto, es conveniente contactar de forma inmediata con un perito informático si se sospecha que el contenido que se desea autentificar puede ser eliminado, a fin de que el profesional pueda asesorar correctamente al cliente en la mejor forma de proceder.

 

Asimismo, debe quedar claro que, en ningún caso y cuando se trata de la certificación de contenidos en redes sociales, el usuario debe proporcionar la contraseña de su cuenta al perito informático ni tampoco al notario en caso de que sea necesario acudir al mismo. La contraseña debe ser introducida por el usuario, bajo supervisión del perito informático, sin que éste ni el notario puedan verla y, posteriormente, permitir a los profesionales, tanto perito informático como notario, realizar su trabajo, para finalmente salir de la cuenta del usuario en la red social sin que se pueda volver a acceder a la misma (para lo cual la casilla de “Recordar la contraseña” debe aparecer desmarcada al acceder a la cuenta del usuario en la red social). Únicamente y bajo circunstancias excepcionales, el usuario debería comunicar al perito informático la contraseña de su cuenta en la red social, para lo cual es necesario que ambos firmen un documento de confidencialidad que debe proporcionarle el perito informático al cliente, en el que se explique que únicamente se accederá a su cuenta en la red social con motivos estrictamente profesionales mientras duren los trabajos, manteniendo secreto profesional por parte del perito informático de todo lo que éste pudiera ver en la cuenta de la red social del usuario y que, una vez finalizados los trabajos, el usuario se compromete a modificar inmediatamente la contraseña.

 

Debido a la extrema delicadeza de la información personal que puede contener una cuenta de usuario de una red social, se recomienda únicamente confiar en un perito informático colegiado, siempre sujeto a ética profesional, para la realización de un informe pericial informático sobre contenido en redes sociales. Además de un correcto asesoramiento y proceder en la ejecución del trabajo, el peritaje informático no podrá ser recusado ni tachado por no disponer el perito informático de las titulaciones universitarias requeridas, ya que la colegiación es garantía de haber obtenido dichas titulaciones y de estar plenamente capacitado y no inhabilitado para el ejercicio profesional. La contratación de un perito informático no colegiado es un riesgo que no debe asumirse, puesto que éste puede no estar en posesión de las titulaciones universitarias requeridas por la Ley de Enjuiciamiento Civil o estar inhabilitado profesionalmente.

Peritaje informático de incumplimiento de contratos en proyectos software

Cuando un perito informático afronta un peritaje informático relativo al incumplimiento de un contrato en el desarrollo de un proyecto software, es vital el enfoque en dos aspectos: el propio contrato de prestación de servicios (o de obra, según se explicará posteriormente) y el documento o documentos de la Especificación de Requisitos del Software (que no siempre existe, aunque es un anexo fundamental para la comprensión del proyecto, ya que en él se especifican todas las características que debe tener el software, dejando en el cuerpo del contrato los aspectos legales). La realización de un peritaje informático sobre el incumplimiento de un contrato en un proyecto software, es una tarea muy compleja para la que se debe contar con toda la documentación posible relativa al proyecto, siendo estos dos documentos la base fundamental del desarrollo de cualquier proyecto software.

 

En el contrato de desarrollo de un proyecto software deben especificarse aspectos relevantes como el periodo para la toma de requisitos, el plazo para la construcción e implantación del proyecto, los hitos del desarrollo del mismo, las entregas (conocidas en la jerga como artefactos) que la empresa desarrolladora del proyecto debe realizar al cliente así como el alcance de éstas (es decir, el conjunto de funcionalidades que contendrán), los pagos que el cliente debe realizar a la empresa de desarrollo, el plazo para la implantación del proyecto, el periodo de garantía del mismo en el que la empresa de desarrollo se compromete a resolver las incidencias del sistema como parte del contrato, el periodo de formación a los usuarios, el sometimiento del contrato a la legislación vigente, etc. Es importante también dejar claro en el contrato si, en caso de discrepancias en el cumplimiento del mismo por alguna de las partes, el litigio quedará sometido a arbitraje con o sin perjuicio de acudir a la vía judicial ordinaria y, en tal caso, qué Corte Arbitral se encargará de resolver el conflicto, recomendando siempre que, para proyectos informáticos, sea la Corte Arbitral del Colegio de Ingenieros o Ingenieros Técnicos en Informática de la Comunidad Autónoma donde se firme el contrato, la encargada de asignar a un perito informático colegiado el litigio. El perito informático, actuando como árbitro, emitirá en ese caso, una vez oídas las partes y estudiado el caso en su conjunto, lo que se conoce como laudo arbitral.

Un aspecto fundamental de cualquier proyecto software y absolutamente clave para el éxito del mismo es la toma de requisitos. La toma de requisitos del software debe ser un proceso continuado en el tiempo, es decir, debe comenzar antes que el resto de las fases del desarrollo del proyecto, pero debe continuarse en paralelo una vez han comenzado las mismas. Cuando se afronta un proyecto software complejo es necesario saber qué necesitan los usuarios, lo que únicamente se consigue con el equipo de ingenieros que van a desarrollar el proyecto estableciendo contacto directo con los propios usuarios, desarrollando prototipos con funcionalidades limitadas que los usuarios puedan utilizar y con los que puedan interactuar, etc. Una ausencia o mala planificación de la fase de toma de requisitos en un proyecto software, es garantía casi segura de un fracaso en el mismo, puesto que los usuarios estarán descontentos con el sistema y sus funcionalidades, ya que es extremadamente difícil que los ingenieros puedan comprender las necesidades de los usuarios para poder trasladar posteriormente las mismas a lenguaje informático, por lo que se requiere de un trabajo muy exhaustivo en esta fase. La fase de toma de requisitos, por tanto, debe quedar totalmente especificada y desglosada en el contrato de desarrollo del proyecto software.

 

Es necesario diferenciar entre el contrato de realización de un proyecto software propiamente dicho y los anexos al mismo. Un anexo a un contrato es un documento que desglosa ciertos aspectos del contrato y que es demasiado extenso y específico para incluirse en el cuerpo del contrato. Éste es el caso del documento de Especificación de Requisitos del Software, que también es conocida como pliego. La Especificación de Requisitos del Software o pliego es un documento en el que deben especificarse, de forma absolutamente desglosada, los requisitos funcionales y no funcionales del software, anexándose al contrato.

Un requisito funcional es conocido también en la literatura informática como un caso de uso, es decir, una acción o funcionalidad concreta que pueden ejecutar uno o varios usuarios y que consiste en una consulta sobre el estado del sistema o produce un cambio en el estado del sistema. Los requisitos funcionales se componen de varias acciones secuenciales, es decir, de una sucesión de pasos que el usuario debe ejecutar para conseguir llevar a cabo la acción del caso de uso. Los requisitos funcionales deben tener un código alfanumérico que los identifique de forma unívoca en el documento de Especificación de Requisitos del Software.

Un requisito no funcional es todo aquél que no describe información a almacenar ni acciones a ejecutar, es decir, que no consulta estados del sistema ni produce cambios en el mismo. Por tanto, un requisito no funcional describe una característica o atributo del sistema, como por ejemplo directrices sobre el rendimiento, la seguridad, la disponibilidad, la escalabilidad, la concurrencia, la portabilidad, el sistema gestor de base de datos que va a ser utilizado, el entorno tecnológico del proyecto, la metodología de desarrollo del mismo, etc. Los requisitos no funcionales deben quedar también totalmente identificados en el anexo de Especificación de Requisitos del Software.

 

Respecto a la forma del contrato y sus implicaciones jurídicas, existe una disyuntiva legal entre si el contrato de realización de un proyecto software debe ser considerado un contrato de prestación de servicios o un contrato de obra. Tradicionalmente, el contrato de realización de un proyecto software ha sido considerado un contrato de prestación de servicios, aunque recientemente y, debido a la Sentencia de 20 de enero de 2009 del Juzgado de Primera Instancia Número 5 de Vitoria, puede llegar a ser considerado como un contrato de obra. En este caso, se trataba de la implantación de un software ERP SAP de acuerdo a los procesos de negocio de la empresa cliente y conforme al resultado de la fase de análisis, por lo que se condenó a la empresa adjudicataria por considerarse que, en un contrato de obra, la ejecución de la misma debe estar orientada al resultado, por lo cual no se puede abandonar la obra hasta que ésta no haya concluido exitosamente, mientras que en un contrato de prestación de servicios, lo importante es el trabajo en sí, sin tener en cuenta el resultado que éste produce. Recientes sentencias del Tribunal Supremo consideran el contrato de realización de un proyecto software como un contrato mixto entre prestación de servicios y arrendamiento de obra, por lo que conviene a cada una de las partes (cliente y prestador de servicios) conocer con anterioridad y con el correcto asesoramiento técnico y legal, qué tipología de contrato es aplicable en cada parte del mismo.

Debido a la consideración, al menos en parte, del contrato de realización de un proyecto software como contrato de obra, la fase de implantación del proyecto es fundamental para la conclusión del mismo de forma exitosa. En la fase de implantación, se pone en servicio el software y se deja listo para que los usuarios puedan utilizarlo, por lo que es necesario que el equipo de despliegue lo instale y configure correctamente y, una vez concluida la instalación y la configuración del sistema y, comprobado que éste funciona correctamente después de la realización de las pruebas SAT, el responsable del proyecto en el cliente firme el documento de aceptación de la entrega del software. La firma de este documento no implica perjuicio alguno sobre las incidencias que pudiesen surgir en los primeros estadios de la utilización del sistema y que deben ser corregidas siempre de acuerdo al contrato de realización del proyecto software.

Es necesario dejar claro también, sobre todo de cara a un posible litigio en el que un perito informático deba verificar el incumplimiento del contrato por alguna de las partes, que un contrato de desarrollo de un proyecto software no es un contrato de mantenimiento. Es decir, en el contrato de desarrollo del proyecto software deberá especificarse un periodo de garantía en el cual se corregirán las incidencias detectadas, pero en ningún caso dicho mantenimiento deberá extenderse más allá del periodo de garantía, al igual que tampoco deberán realizarse en este periodo, bajo ningún concepto, modificaciones funcionales en el software que no hayan sido especificadas en el contrato. Por tanto, el mantenimiento de un proyecto software deberá realizarse siempre bajo el paraguas de otro contrato distinto al contrato de desarrollo.

 

Sí, aún tomadas todas las precauciones contractuales, se produce un litigio y una de las partes demanda a la otra por incumplimiento de contrato, el perito informático deberá estudiar en profundidad el contrato y sus anexos y, entre ellos, principalmente, el de Especificación de Requisitos del Software. Asimismo, el perito informático también deberá comprobar, siempre que sea posible, el funcionamiento del software implantado en el cliente, o en alguna máquina de pruebas del proveedor, en caso de que éste sea el demandante y el cliente demandado no permita al perito informático la realización de las pruebas al objeto de redactar el informe pericial informático. Es necesario tener en cuenta que, en caso de que el contrato y/o el anexo de Especificación de Requisitos del Software sean poco prolijos o este anexo ni siquiera exista, será muy probable que el perito informático deba realizar, en su informe pericial, una autentificación de los correos electrónicos mantenidos entre el cliente y el proveedor, para lo cual será, a su vez, muy probablemente necesaria, la clonación de los discos duros en los que se encuentren almacenados dichos correos electrónicos, encareciendo por tanto el coste final del peritaje informático.

El perito informático en el arbitraje informático y la tasación informática

El perito informático, habitualmente, debe actuar como árbitro informático debido al auge del sometimiento de determinado tipo de contrato de prestación de servicios informáticos a un arbitraje en caso de litigio, o como tasador informático, en el caso de que sea necesaria la valoración económica de un proyecto informático, la cuantificación económica de los activos informáticos de una empresa, etc. El arbitraje informático y la tasación informática son, en realidad, especialidades concretas del peritaje informático en las que el perito informático, como profesional Ingeniero o Ingeniero Técnico en Informática, debe estar correctamente formado y especializado.

 

La realización de un arbitraje informático implica el intento de conciliación entre las partes, por lo que el perito informático, como profesional imparcial y objetivo en el proceso, debe escuchar a las mismas, estudiar el caso y, finalmente, emitir un dictamen, conocido como laudo arbitral, que puede ser vinculante o no en función del tipo de procedimiento en el que se esté inmerso. Existen numerosos organismos públicos, público-privados y privados que disponen de Corte Arbitral, como las Cámaras de Comercio, los Colegios Profesionales, algunos despachos de abogados, etc. Las ventajas de acudir al arbitraje informático en lugar de a la vía civil son evidentes, ya que la vía arbitral es mucho más rápida y económica que la civil y el laudo arbitral siempre va a estar refrendado por un perito informático experto en la materia, evitando posibles sentencias judiciales erróneas motivadas por un desconocimiento de la materia objeto de la controversia.

 

En la tasación informática, el perito informático deberá valorar económicamente determinados activos informáticos, mediante distintas técnicas que incluyen el cálculo del retorno de la inversión para un proyecto informático, del esfuerzo en personas-meses invertido en la construcción de un proyecto software, del costo de determinadas licencias de software ilegalmente utilizadas, del valor económico de equipos informáticos teniendo en cuenta la antigüedad de los mismos y la inflación, etc. Una tasación informática siempre será aproximada, nunca exacta, debido a la imposibilidad de que el perito informático tome en cuenta todas las variables implicadas en la misma, que son incontables.

 

Por tanto, se puede decir que, en el momento actual, el perito informático es un profesional totalmente capacitado para su actuación en cualquier tipo de proceso como un arbitraje informático o una tasación informática. Es absolutamente recomendable que el perito informático seleccionado esté colegiado, puesto que así el cliente se asegura la titulación de Ingeniería o Ingeniería Técnica en Informática del perito y evita posibles casos de fraude o estafa.